تعرضت شركة KT لفرض غرامة بقيمة حوالي 54 مليار وون من لجنة حماية المعلومات الشخصية بسبب تسرب واسع النطاق للمعلومات الشخصية من خلال محطات صغيرة غير قانونية (فيمتوسيل) وخسائر في المدفوعات الصغيرة غير المصرح بها.

وعلى وجه الخصوص، تم تأكيد حذف السجلات بعد الحادث وإدلاء أقوال كاذبة أثناء عملية التحقيق، مما دفع لجنة حماية المعلومات الشخصية إلى قرار الإبلاغ عن KT بتهمة عرقلة التحقيق.

▲ تسرب معلومات حوالي 16 ألف شخص من خلال محطات صغيرة غير قانونية

أعلنت لجنة حماية المعلومات الشخصية في 30 من الشهر الجاري أنها عقدت اجتماعًا عامًا في 29 من الشهر الجاري وقررت فرض غرامة بقيمة 53.979 مليار وون على KT لانتهاكها قانون حماية المعلومات الشخصية، إضافة إلى أوامر التصحيح والتوصيات بالتحسين وأوامر النشر.

أسفرت نتائج التحقيق عن أن المتسللين استخرجوا شهادة من محطة صغيرة مفقودة تابعة لـ KT وثبتوها على محطة صغيرة غير قانونية من صنعهم، ثم تمكنوا من الوصول إلى شبكة KT للاتصالات المتنقلة. وبعد ذلك، اعترضوا معلومات الاتصالات بين أجهزة المستخدم والشبكة الداخلية للحصول على المعلومات الشخصية.

حاول المتسللون إجراء مدفوعات صغيرة من خلال الجمع بين معلومات اتصالات إضافية مثل الأسماء وتواريخ الميلاد، وقاموا بإجراء مدفوعات غير مصرح بها من خلال سرقة رسائل نصية بتأكيد الدفع (SMS) وأنظمة الرد الآلي (ARS).

نتج عن هذه العملية تسرب أرقام هواتف محمولة وأرقام التعريف الدولية للمشتركين المتنقلين (IMSI) وأرقام تعريف الأجهزة (IMEI) لـ 16,647 مستخدمًا بما فيهم مشتركو الهواتف الاقتصادية، وتعرض 368 شخصًا لخسائر في المدفوعات الصغيرة غير المصرح بها بلغت حوالي 240 مليون وون.

▲ اختراق الشبكة الداخلية لمدة 11 شهرًا... فشل إداري شامل في الأمان

رأت لجنة حماية المعلومات الشخصية أن هذا الحادث لم يكن مجرد اختراق عادي، بل كان نتيجة لعوامل معقدة ناجمة عن القصور في إدارة الأمان لدى KT.

حددت KT فترة صلاحية شهادة المحطة الصغيرة بـ 10 سنوات ولم تقيد عناوين الإنترنت (IP) التي يمكن الوصول إليها، مما جعل من الممكن الوصول من الخارج أو من شبكات الجهات الأخرى.

بالإضافة إلى ذلك، كانت هناك طرق لالتفافية لخادم إدارة المحطة الصغيرة، ولم تتم إدارة معرف الخلية (Cell ID) المستخدم عند الوصول إلى الشبكة الأساسية بشكل صحيح، مما أدى إلى عدم وجود نظام فعال للكشف عن أو منع الوصول من معدات غير مصرح بها.

استغل المتسللون هذه الثغرات للوصول إلى الشبكة الداخلية لـ KT لمدة حوالي 11 شهرًا دون الخضوع لأي إجراءات مصادقة إضافية، لكن KT لم تدرك حقيقة الوصول غير الطبيعي إلا بعد ظهور شكاوى من خسائر المدفوعات الصغيرة.

مقر KT بشارع غوانغوا [مقدم من KT]مقر KT بشارع غوانغوا [مقدم من KT]

▲ إخفاء العدوى بالبرامج الضارة أيضًا... المعالجة الذاتية بدون إبلاغ حكومي

اكتشفت لجنة حماية المعلومات الشخصية أيضًا حادث عدوى برنامج ضار منفصل.

اكتشفت KT في مارس 2024 أن المتسللين تسللوا من خلال ثغرة في موقع خدمة استئجار التجوال وأصاب 38 خادمًا ببرامج ضارة مثل باب BPF (BPF Door)، لكنها لم تبلغ الحكومة وتعاملت معها بمفردها.

كما تم تأكيد وجود ظروف لقيام المتسللين بشن هجمات حقن SQL على صفحات المسؤولين للاستعلام عن وإفصاح أسماء وأرقام هواتف وبيانات حساب بعض الموظفين والموظفين المتعاقدين مع KT.

غير أن سجلات الشبكة في وقت الحادث لم تتم حفظها، لذا تعذر في النهاية التحقق من ما إذا كان هناك تسرب إضافي للمعلومات الشخصية للمستخدمين.

▲ تأكيد حذف السجلات والأقوال الكاذبة... قرار لجنة حماية المعلومات الشخصية بالإبلاغ

كان وراء فرض العقوبة الأكثر صرامة في هذه المرة وجود أفعال عرقلة للتحقيق.

تبين أن KT حذفت سجلات 10 خوادم مخترقة في أبريل من العام الماضي أثناء عملية فحص العدوى بالبرامج الضارة.

في البداية، أدلت بأقوال تفيد بعدم وجود المستندات ذات الصلة، لكن عندما أكدت لجنة حماية المعلومات الشخصية وقائع حذف السجلات من خلال الحفريات الرقمية، عادت عن أقوالها وقدمت سجلات محفوظة بشكل منفصل في وقت متأخر.

رأت لجنة حماية المعلومات الشخصية أن هذا سلوك واضح لعرقلة التحقيق وقررت الإبلاغ عن KT.

▲ طلب الحكومة فحص LG U أيضًا... جدل تدمير الأدلة

تمت اتخاذ تدابير منفصلة ضد LG U في هذا التحقيق.

اكتشفت لجنة حماية المعلومات الشخصية وقائع تسرب المعلومات الشخصية من خلال مجلة متخصصة أمريكية في الأمان وبدأت التحقيق، وأكدت أن معلومات الموظفين والموظفين المتعاقدين تم تخزينها بالفعل في نظام إدارة كلمات المرور المدمجة (APPM).

غير أن LG U أعادة تثبيت نظام تشغيل خادم APPM أو ألغت الخادم قبل بدء التحقيق، مما جعل من الصعب تأكيد ظروف التسرب الدقيقة والتحقق من وجود أضرار إضافية.

رأت لجنة حماية المعلومات الشخصية أنه على الرغم من أن السلوك حدث قبل بدء التحقيق، إلا أنه لا يمكن تطبيق أحكام عرقلة التحقيق بموجب قانون حماية المعلومات الشخصية، لكنها تشكل عرقلة لتنفيذ الواجبات الحكومية، لذلك قررت طلب سلطات التحقيق بإجراء تحقيق.

▲ لجنة حماية المعلومات الشخصية "تسعى لتعزيز معاقبة تدمير الأدلة"، إصلاحات تشريعية

قررت لجنة حماية المعلومات الشخصية السعي لإصلاحات قانونية وتشريعية لتحسين فعالية التحقيق على ضوء هذا الحادث.

تخطط لتعديل القوانين ذات الصلة بحيث يمكن فرض عقوبات جنائية أو غرامات تصل إلى 3٪ من إجمالي المبيعات السنوية حتى في حالة إخفاء أو تدمير الأدلة قبل بدء التحقيق.

كما تعتزم تقديم نظام حوافز الإبلاغ، وفرض رسوم الامتثال بنسبة 0.3٪ من إجمالي المبيعات اليومية على الشركات التي لا تتعاون مع التحقيق أو لا تمتثل لأوامر التصحيح.

كما تعتزم تعديل قانون حماية المعلومات الشخصية بحيث يمكن إصدار أوامر الحفاظ على البيانات فورًا عند حدوث حادث خرق المعلومات الشخصية.